Tarkvarafirmana saate järjest enam turvalisuse küsimustikke kliendilt, kes kuulub Küberturvalisuse seaduse alla. Sama tegevusplicht, mis sunnib teie kliendi teid hindama, kohustab ka teid ise: hindama, millised teie enda tarnijate hulgast mõjutavad teie ehitatud ja müüdava tarkvara turvalisust. Tarnerite poliitika on viis, kuidas seda hindamist korratavaks teha, et mitte iga kord uuesti mõtlema hakata, kes teil tegelikult usaldust väärib.
Lühike vastus: alustate oma arenduskeskkonnast ja ostetavast tarkvarast ettekujutuse saamisega, klassifitseerate need tarnijad riskitaseme alusel ja määrate iga kategooria jaoks, millised nõudmised teil on ja kuidas seda kontrollit korraldada. See ettekujutus ja klassifikatsioon moodustavad koos tarnerite poliitika.
Kahte liiki tarnijad, üks pime koht
Tarkvarakehituse puhul läbivad kaks tarneahelat teineteist, mis teeb tarnerite poliitika keerulisemaks kui füüsiliste kaupade sisseostul.
Esimene ahel on teie arenduskeskkond: lähtekoodihoidla, CI/CD-paigaldus, pilve keskkond, millel te töötate, tööriistade testimiseks ja juurutamiseks. Nõrk koht seal mõjutab kõige enam teie enda äritegevust.
Teine ahel on see, mis jõuab teie toote sisse: avatud lähtekoodiga teegid, kolmandatest osapooltest pärit API-d, ostetud komponendid. Nõrk koht seal ei mõjuta mitte ainult teid, vaid ka iga klienti, kes teie tarkvara kasutab. See eristus on täpselt see, kus paljud tarnerite poliitika ebaõnnestuvad: tähelepanu keskendub esimesele ahelale, sest see on igapäevatöös nähtav, samal ajal kui teine ahel muutub nähtavaks alles siis, kui midagi läheb viltu.
Inventuur: alustage sellest, mis juba käib
Tarnerite poliitika ei alga mallilt, vaid nimekirjast. Tarkvarakehituse puhul tähendab see vähemalt: millised pilveteenuste pakkujad teil on kasutusel, milliseid pakettide haldurid ja registreid teie koostamise protsess kasutab, milliseid väliseid API-sid teie toode kutsub ja millised nendest osapooltest puudutavad koodi, saladusi või tootmisandmeid.
Iga tarnija puhul ei ole küsimus mitte ainult selles, mida nad teevad, vaid mis juhtub, kui nad ebaõnnestuvad või kahjustatakse. Pakettide haldur, kust tulevad sajad sõltuvused, kaalub erinevalt arvelduspaketist, mis toimib arenduskeskkonnast sõltumatult.
Riskiklassifikatsioon: mitte iga tarnija ei vääri sama tähelepanu
Pärast inventuuri järgneb klassifikatsioon, tavaliselt kaheks või kolmeks tasemeks. Tarnijad, kellel on juurdepääs lähtekoodile, salajastele andmetele või tootmiskeskkonnale, nõuavad raskeimaid nõudmisi: tugevat autentimist, logimist, kindlat kontaktisikut juhtumuste korral. Tarnijad, kes töötavad ainult kaudselt kaasa, näiteks projektiplaneerimisvahendid, nõuavad vähem.
Direktiiv ja riigiseadus ei kirjuta ette kindlat klassifikatsiooni; järelevalveasutused vaatavad seda, kas meetmed vastavad riskile. See tähendab, et teie valitud klassifikatsioon peab olema seletatav: miks see tarnija kuulub raskesse kategooriasse ja see teine mitte.
Mida te küsite ja mida te ise juba vastasite
Tarnerite poliitika toimib kahes suunas. Väljaspoole kasutate seda oma tarnijatelt küsimuste esitamiseks: kuidas nad käitlevad kriitilisi puudusi, kas neil on mitmekordse kinnitamise protsess, kui kiiresti nad teavitavad teid juhtumusest. Sissepoole moodustab see aluse sellele, kuidas te ise vastata kliente hindamise küsimustikele, sest klient, kes teid hindab, tahab tihti teada, kas teil on oma tarneahel kirjas.
Need kaks aspekti on omavahel seotud: tarneahela poliitika, mida te kirjutate ainult enda jaoks, ei ole tavaliselt kooskõlas klientidelt saadavate küsimustega. Kes poliitika algusest peale üles ehitab, pidades silmas, mida ostja küsib, ei pea seda hiljem ümber kirjutama.
Dokumenteerimine: poliitikast tõendini
Poliitika, mis on ainult tekstidokumendis, on keeruline põhjendada hetkel, kui klient või järelevalveasutus sellest küsib. Praktilisem on elav ülevaade: iga tarnija kohta riskikategooria, viimane hindamine, tõendmaterjal nagu deklaratsioon, sertifikaat või vastus teie omasel küsimustikule, ja see, kes teie organisatsioonis selle tarnija üle valvab.
Selline ülevaade ei pea suur olema, et oleks kasulik. Tarkvara ettevõttele, millel on käes paar kriitilise tähtsusega tarnijat, on tabel paari veeruga tihti piisav, kui seda hoitakse ajakohasena, kui tarnija vahetub või leping uuendatakse.
Kas soovite kõigepealt teada saada, kas teie organisatsioon ise kuulub risikojuhtimise kohustuse alla, või puudutab teid see ainult kliendite kaudu? tehke tasuta kontroll paari küsimuse juurest ja lugege lehte kõigi teemadega kuidas tarneahela hindamine on seotud muude kohustustega. Uudishimulik, kust selle platvormiga seotud teave pärineb ja kui uuendatud see on? See on selgitatud lehel, kuidas see toimib. Kes soovib tarnijate ülevaate muuta dossieeks tõendidega ja vastutusvõtjatega, leiab lehelt tellimustega mida selleks vaja on.